Mengumpulkan log IOC Recorded Future

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log IOC Recorded Future dengan menyiapkan feed Google Security Operations menggunakan API Pihak Ketiga.

Recorded Future, perusahaan Mastercard, adalah platform threat intelligence yang memberikan kecerdasan real-time terkait indikator penyusupan (IOC), termasuk alamat IP, domain, URL, dan hash file berbahaya. Recorded Future menggabungkan dan menganalisis data dari sumber terbuka, dark web, dan teknis menggunakan machine learning untuk menetapkan penilaian risiko, sehingga tim keamanan dapat memprioritaskan dan merespons ancaman secara efektif.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Akses istimewa ke portal Recorded Future (app.recordedfuture.com).
• Akun Recorded Future Enterprise dengan akses API yang diaktifkan.

Mengonfigurasi akses Recorded Future API

Agar Google SecOps dapat mengambil data IOC, Anda perlu membuat token API dari portal Recorded Future.

Membuat token API

1. Login ke portal Recorded Future di app.recordedfuture.com.
2. Klik avatar Anda di pojok kanan atas, lalu pilih Setelan Pengguna.
3. Di panel navigasi kiri, klik API Access.
4. Klik Generate New API Token.
5. Salin dan simpan token API (misalnya, RF-1234567890abcdef).

Catatan: Simpan token API dengan aman. Anda tidak akan dapat melihatnya lagi setelah menutup dialog. Jika kehilangan token, Anda harus membuat token baru.

Penting: Token API mengautentikasi semua permintaan ke Recorded Future API menggunakan header HTTP X-RFToken.

Mengonfigurasi feed di Google SecOps untuk menyerap log IOC Recorded Future

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Recorded Future IOC).
5. Pilih API Pihak Ketiga sebagai Jenis sumber.
6. Pilih Recorded Future sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Header HTTP autentikasi: Masukkan kredensial autentikasi dalam format berikut:

     X-RFToken:your-api-token-value
     

     Ganti your-api-token-value dengan token API yang dibuat di portal Recorded Future.

   • Namespace aset: Namespace aset.

   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Setelah penyiapan, feed akan mulai mengambil data IOC dari platform Recorded Future dalam urutan kronologis.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
Risk	confidence_score	Dipetakan secara langsung
Value	domain_and_ports.domain	Dipetakan secara langsung
Value	entity.file.sha256	Dipetakan secara langsung
Value	entity.hostname	Dipetakan secara langsung
ip	entity.ip	Digabung
Value	entity.url	Dipetakan secara langsung
ip	ip_and_ports.ip_address	Dipetakan secara langsung
Value	metadata.entity_type	Dipetakan: [a-f0-9]{64} → FILE
timestamp	metadata.event_timestamp	Diurai sebagai ISO8601
threat_det	metadata.threat	Digabung
T/A	feed_name	Konstanta: Recorded Future IOC
T/A	metadata.entity_type	Konstanta: FILE
T/A	metadata.vendor_name	Konstanta: RECORDED_FUTURE_IOC
detail.FirstSeen	event.idm.entity.metadata.threat.first_discovered_time	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.